Le migliori pratiche per la sicurezza IAM - AWS SDK per SAP ABAP
Best practice per il profilo dell'istanza Amazon EC2Ruoli IAM per utenti SAPConsiderazioni sulla sicurezza del profilo di origine

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Le migliori pratiche per la sicurezza IAM

L'amministratore IAM sarà responsabile delle seguenti tre aree chiave.

  • Garantire che il sistema SAP possa autenticarsi con i metadati di Amazon EC2 o le credenziali Secret Key.

  • Garantire che il sistema SAP disponga delle autorizzazioni necessarie per elevarsi. sts:assumeRole

  • Per ogni ruolo IAM logico, creazione di un ruolo IAM per gli utenti SAP con le autorizzazioni necessarie per eseguire le funzioni aziendali (ad esempio, le autorizzazioni necessarie per Amazon S3, DynamoDB o altri servizi). Questi sono i ruoli che gli utenti SAP assumeranno.

Per ulteriori informazioni, consulta il capitolo Sicurezza in SAP Lens: AWS Well-Architected Framework.

Best practice per il profilo dell'istanza Amazon EC2

L'istanza Amazon EC2 su cui viene eseguito il sistema SAP dispone di una serie di autorizzazioni basate sul profilo dell'istanza. In genere, il profilo dell'istanza deve disporre solo delle autorizzazioni per effettuare chiamatests:assumeRole, per consentire al sistema SAP di assumere ruoli IAM specifici dell'azienda, se necessario. Questa elevazione ad altri ruoli garantisce che un programma ABAP possa assumere un ruolo che offra all'utente il minimo privilegio necessario per svolgere il proprio lavoro. Ad esempio, un profilo di istanza potrebbe contenere la seguente dichiarazione.

JSON

{
 "Version":"2012-10-17",		 	 	 
 "Statement": [
   {
     "Sid": "VisualEditor0",
     "Effect": "Allow",
     "Action": "sts:AssumeRole",
     "Resource":[
        "arn:aws:iam::012345678912:role/finance-cfo",
        "arn:aws:iam::012345678912:role/finance-auditor",
        "arn:aws:iam::012345678912:role/finance-reporting"
      ]
   }
 ]
}

L'esempio precedente consente al sistema SAP di assumere i ruoli IAM per l'utente CFO, AUDITOR o REPORTING. AWS SDK sceglierà il ruolo IAM corretto per l'utente in base al ruolo PFCG dell'utente in SAP.

Il profilo di istanza Amazon EC2 può essere utilizzato anche per altre funzioni.

Queste soluzioni possono inoltre richiedere sts:assumeRole autorizzazioni per ruoli specifici di backup o failover oppure possono richiedere l'assegnazione diretta delle autorizzazioni al profilo dell'istanza.

Ruoli IAM per utenti SAP

Il programma ABAP necessita delle autorizzazioni per eseguire il lavoro dell'utente: leggere una tabella DynamoDB, richiamare Amazon Textract su un oggetto PDF in Amazon S3, eseguire una funzione. AWS Lambda In tutti viene utilizzato lo stesso modello di sicurezza. AWS SDKs Puoi utilizzare un ruolo IAM esistente che è stato utilizzato per un altro AWS SDK.

L'analista aziendale SAP chiederà all'amministratore IAM il nome arn:aws: di un ruolo IAM per ogni ruolo logico necessario. Ad esempio, in uno scenario finanziario, l'analista aziendale può definire i seguenti ruoli IAM logici.

  • CFO

  • AUDITOR

  • REPORTING

L'amministratore IAM definirà i ruoli IAM per ogni ruolo IAM logico.

CFO

  • arn:aws:iam::0123456789:role/finance-cfo

  • autorizzazioni di lettura e scrittura per un bucket Amazon S3

  • autorizzazioni di lettura e scrittura per un database DynamoDB

AUDITOR

  • arn:aws:iam::0123456789:role/finance-auditor

  • autorizzazioni di lettura per un bucket Amazon S3

  • autorizzazioni di lettura per un database DynamoDB

REPORTING

  • arn:aws:iam::0123456789:role/finance-reporting

  • autorizzazioni di lettura per un database DynamoDB

  • nessuna autorizzazione per il bucket Amazon S3

L'analista aziendale inserirà i ruoli IAM in una tabella di mappatura per mappare i ruoli IAM logici con i ruoli IAM fisici.

I ruoli IAM per gli utenti SAP devono consentire l'sts:assumeRoleazione a responsabili affidabili. I trusted principal possono variare in base alla modalità di autenticazione del sistema SAP. AWS Per ulteriori dettagli, vedere Specificare un principale.

Di seguito sono riportati alcuni esempi degli scenari SAP più comuni.

  • Sistema SAP in esecuzione su Amazon EC2 con un profilo di istanza assegnato: qui, un profilo di istanza Amazon EC2 è collegato a un ruolo IAM.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Principal": { 
                "AWS": "arn:aws:iam::123456789012:role/SapInstanceProfile" 
            }
        }
    ]
}

  • Sistemi SAP in esecuzione su Amazon EC2 senza un profilo di istanza: qui, Amazon EC2 assume i ruoli degli utenti SAP.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Principal": { 
                "Service": [ "ec2.amazonaws.com" ] 
            }
        }
    ]
}

  • Sistemi SAP in esecuzione in locale: i sistemi SAP che funzionano in locale possono autenticarsi solo utilizzando la chiave di accesso segreta. Per ulteriori informazioni, consulta Autenticazione del sistema SAP su. AWS

    Qui, qualsiasi ruolo IAM assunto da un utente SAP deve avere una relazione di fiducia che dia fiducia all'utente SAP.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Principal": { 
                "AWS": "arn:aws:iam::123456789012:user/SAP_SYSTEM_S4H" 
            }
        }
    ]
}

Considerazioni sulla sicurezza del profilo di origine

Quando si utilizza il profilo di origine:

Gestione dei ruoli IAM

Critico: i ruoli IAM nelle catene di profili di origine devono essere gestiti rigorosamente per prevenire accessi non autorizzati e l'escalation dei privilegi:

  • Applica il principio del privilegio minimo: concedi solo le autorizzazioni minime richieste per lo scopo specifico di ciascun ruolo

  • Verifica regolarmente le autorizzazioni relative ai ruoli: rivedi e aggiorna le politiche relative ai ruoli trimestralmente o quando i requisiti cambiano

  • Monitora l'utilizzo dei ruoli: consente di tenere traccia delle chiamate AssumeRole API e identificare modelli insoliti

  • Limita le relazioni di fiducia: limita i responsabili che possono assumere ogni ruolo solo a coloro che hanno assolutamente bisogno di accedervi

  • Usa le condizioni nelle politiche di fiducia: aggiungi condizioni come IP di origine, requisiti MFA o restrizioni temporali, se del caso

  • Documenta gli scopi dei ruoli: mantieni una documentazione chiara del caso d'uso previsto di ciascun ruolo e delle autorizzazioni richieste

Autorizzazione e controllo accessi

  • Assicurati che tutti i profili intermedi della catena abbiano configurate politiche di fiducia appropriate

  • Gli utenti devono disporre /AWS1/SESS dell'autorizzazione per TUTTI i profili della catena, compresi i profili intermedi

  • Ogni ruolo IAM deve considerare esplicitamente attendibile il ruolo precedente nella catena

Garanzie tecniche

  • L'SDK impone una profondità massima della catena di 5 profili per evitare chiamate API STS eccessive

  • I riferimenti circolari vengono rilevati e impediti automaticamente

  • Il metodo di autenticazione del profilo di base viene convalidato per garantire che utilizzi un metodo standard (INST, SSF o RLA)

Per ulteriori informazioni sulla configurazione del profilo di origine, vedere Utilizzo del profilo di origine per l'accesso tra account.